Примерно 50 000 веб-сайтов на базе WordPress уязвимы для проблем безопасности. Это связано с уязвимостью в популярном плагине, которая позволяет пользователям получить права администратора сайта.
Исследователь в области информационной безопасности Андреа Боккетти обнаружил серьезную уязвимость в плагине Advanced Custom Fields: Extended, который используется многими веб-сайтами на базе WordPress.
Этот плагин позволяет добавлять пользовательские поля в записи и страницы. Ошибка в этом плагине связана с некорректным применением ограничений при создании или обновлении учетных данных пользователей с помощью форм.
Боккетти отмечает, что уязвимая версия плагина не имеет ограничений и позволяет пользователям добровольно устанавливать свою роль, включая роль администратора. Это, в свою очередь, может обеспечить полный контроль над данным веб-сайтом.
Уязвимость была обнаружена в версиях плагина 0.9.2.1 и более ранних, и её уровень серьёзности составляет 9,8/10, что делает её критической. Хотя её эксплуатация непроста и требует физического доступа к панели управления WordPress, она представляет собой значительную угрозу. В настоящее время около 50 000 сайтов, которые не обновились до последней версии плагина, не подвержены этой уязвимости.
Исследователь в области информационной безопасности Андреа Боккетти обнаружил серьезную уязвимость в плагине Advanced Custom Fields: Extended, который используется многими веб-сайтами на базе WordPress.
Этот плагин позволяет добавлять пользовательские поля в записи и страницы. Ошибка в этом плагине связана с некорректным применением ограничений при создании или обновлении учетных данных пользователей с помощью форм.
Боккетти отмечает, что уязвимая версия плагина не имеет ограничений и позволяет пользователям добровольно устанавливать свою роль, включая роль администратора. Это, в свою очередь, может обеспечить полный контроль над данным веб-сайтом.
Уязвимость была обнаружена в версиях плагина 0.9.2.1 и более ранних, и её уровень серьёзности составляет 9,8/10, что делает её критической. Хотя её эксплуатация непроста и требует физического доступа к панели управления WordPress, она представляет собой значительную угрозу. В настоящее время около 50 000 сайтов, которые не обновились до последней версии плагина, не подвержены этой уязвимости.
Поделитесь в соцсетях:
